Définition de la fraude du PDG
La fraude au PDG est un type de cybercriminalité dans lequel les attaquants se font passer pour des cadres d'une entreprise afin d'inciter un employé à envoyer des virements non autorisés ou à divulguer des informations sensibles. Le FBI rapporte qu'entre 2016 et 2019, la fraude des PDG (également connue sous le nom de Business Email compromise, ou BEC) a entraîné des pertes de 26 milliards de dollars pour les entreprises du monde entier[i].
Comment fonctionne le phishing frauduleux des chefs d'entreprise ?
La fraude au PDG est une forme très ciblée de spear-phishing dans laquelle les attaquants recherchent des victimes potentielles et leurs entreprises en ligne, en apprenant tout ce qu'ils peuvent sur le site web de l'organisation, ainsi que des informations sur les sites de médias sociaux tels que LinkedIn, Facebook et Twitter. Les cibles sont généralement des membres du personnel de niveau intermédiaire des services financiers, de la comptabilité ou des ressources humaines. Les attaquants conçoivent un courriel d'apparence très réaliste qui semble provenir du PDG de l'entreprise ou d'un autre cadre de haut niveau et utilisent des informations apprises sur la cible pour donner l'impression que le courriel est authentique. Le message incite le destinataire à prendre des mesures immédiates pour transférer de l'argent sur un compte spécifique, fournir des informations sensibles telles que des données salariales ou fiscales, ou partager des informations d'identification qui peuvent permettre à des pirates d'accéder aux systèmes de l'entreprise. Parce que ces attaques frauduleuses de PDG mettent l'accent sur l'urgence, le secret et/ou la confidentialité, les employés sont souvent enclins à agir sans vérifier deux ou trois fois la légitimité de la demande.
Les escroqueries par courriel de type phishing sont en augmentation
La fraude des PDG, un nouveau type de menace pour la sécurité des courriels d'entreprise, a fortement augmenté au cours des derniers mois. Également connues sous le nom de whale phishing, les escroqueries par courriel de type CEO fraud usurpent l'identité de personnes ayant accès à des informations financières ou à d'autres données sensibles pour les inciter à effectuer des virements électroniques ou à divulguer par courriel des numéros de comptes bancaires, des informations sur des cartes de crédit, des mots de passe et d'autres données de grande valeur. Ces escroqueries visent souvent les PDG, les directeurs financiers ou d'autres cadres de haut niveau, ou se font passer pour eux.
Le FBI signale que les cas de fraude au PDG et d'whaling ont augmenté de 270% entre janvier et août 2015, et que les pertes dues à ces escroqueries ont dépassé 1,2 milliard de dollars en un peu plus de deux ans1. Alors que les organisations cherchent des moyens de prévenir la fraude des PDG, de nombreuses entreprises se tournent vers les solutions de sécurité des emails de Mimecast.
"FBI Warns of Dramatic Increase in Business E-Mail Scams (Le FBI met en garde contre une augmentation spectaculaire des escroqueries par courrier électronique) - Federal Bureau of Investigation (Bureau fédéral d'enquête), avril 2016
Comment reconnaître une fraude à l'encontre d'un chef d'entreprise ?
La fraude des chefs d'entreprise est beaucoup plus difficile à reconnaître que les courriels de phishing courants qui sont envoyés à des centaines ou des milliers de destinataires. La demande peut même provenir d'une adresse électronique légitime qui a été piratée par des attaquants. Cependant, il existe plusieurs caractéristiques de la fraude au poste de directeur général que tous les employés doivent surveiller.
- Demandes de transfert d'argent ou de partage d'informations sensibles. Toute demande de ce type doit être considérée avec scepticisme par les employés, qui doivent avoir pour instruction de prendre des mesures pour vérifier l'authenticité des demandes avant de s'y conformer.
- Un ton urgent ou menaçant. Les attaques frauduleuses des PDG sont conçues pour encourager les employés à agir rapidement et sans remettre en question leurs actions.
- Demandes formulées par des cadres qui se déclarent indisponibles pour une période donnée. Les attaquants suggèrent souvent que l'expéditeur du courriel n'est pas disponible pour des communications qui pourraient corroborer la demande.
- Le langage qui demande le secret ou la confidentialité. Cette disposition vise à empêcher les employés de vérifier la légitimité de la demande auprès d'autres collègues ou de leurs supérieurs immédiats.
- Numéros de compte inhabituels. Les courriels frauduleux des PDG peuvent demander des virements sur des comptes bancaires ou de fournisseurs différents de ceux sur lesquels l'argent est habituellement transféré.
- Inadéquation de l'adresse électronique de l'expéditeur ou des adresses URL contenues dans le courrier électronique. Les attaquants peuvent utiliser des adresses électroniques et des liens qui sont de légères variations d'adresses électroniques et de sites web, conçus pour passer inaperçus aux yeux des destinataires pressés d'accéder à la demande de l'expéditeur.
